หลังจากช่องโหว่ PHP2Shell ถูกเปิดเผยออกมา ก็มีความพยายามทดสอบว่าช่องโหว่นี้ร้ายแรงเพียงใด และสมกับที่หลายประเทศปิดเว็บบริการจำนวนมากเพื่อรับมือหรือไม่ ก่อนหน้านี้มีการทดสอบกับ PHP FPM ไปก่อนแล้ว และวันนี้ทาง Cloudflare ก็ประกาศทดสอบกับ WAF ของตัวเอง โดยเอา WAF มาบังเว็บที่สร้างด้วย Apache + mod_php ที่รัน PHP 8.5.11 รุ่นมาตรฐานพร้อมส่วนขยายมาตรฐาน

แนวทางของ Cloudflare คล้ายกับการทดสอบก่อนหน้านี้ โดย Cloudflare จะซ่อนไฟล์ flag เอาไว้ หากสามารถควบคุม PHP จนเข้าไปอ่านไฟล์ได้ก็จะสามารถเคลมรางวัลกับ HackerOne มูลค่า 3,000 ดอลลาร์ได้ ความแตกต่างของการทดลองครั้งนี้ คือตัว PHP นั้นรันอยู่ใน Cloudflare Container และจะรีเซ็ตเริ่มใหม่ทุกๆ ไม่กี่นาที

หากการทดลองครั้งนี้สามารถทนการแฮกได้นานก็เป็นการโฆษณาที่ดีของบริการ WAF ของ Cloudflare อย่างไรก็ดีทาง Cloudflare ยืนยันว่า WAF ไม่สามารถทดแทนการอัปเดตซอฟต์แวร์ได้

ที่มา - Cloudflare